Atelier pratique — PCSE Google Cloud Professional Cloud Security Engineer

Présentation

Prérequis

Étapes

1. 1.Fournisseur, services de projet, dénomination

   Activez les API Cloud KMS, Cloud Storage, Cloud Logging et Org Policy.

   Copier

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-pcse"
       managed_by = "terraform"
     }
   }
   
   data "google_project" "current" {}
   
   resource "google_project_service" "cloudkms" {
     service            = "cloudkms.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "storage" {
     service            = "storage.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "logging" {
     service            = "logging.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "orgpolicy" {
     service            = "orgpolicy.googleapis.com"
     disable_on_destroy = false
   }

2. 2.Appliquez une contrainte de politique d'organisation empêchant la création de réseaux par défaut

   Déploie :

   • Organization Policy

   Le service Org Policy est la primitive de garde-fou de PCSE — définissez les contraintes une seule fois au niveau de l'organisation / du dossier / du projet, et les ressources qui les violent ne pourront jamais être créées. L'examen PCSE teste la distinction contraintes vs IAM : IAM contrôle qui peut agir ; Org Policy contrôle ce qui peut exister.

   Nous appliquons compute.skipDefaultNetworkCreation au niveau du projet — lorsqu'un nouveau projet est initialisé, GCP crée normalement un VPC par défaut avec des règles de pare-feu trop permissives. La contrainte empêche cela. C'est la forme canonique PCSE prévenir par défaut.

   Copier

   resource "google_project_organization_policy" "skip_default_network" {
     project    = data.google_project.current.project_id
     constraint = "compute.skipDefaultNetworkCreation"
   
     boolean_policy {
       enforced = true
     }
   
     depends_on = [google_project_service.orgpolicy]
   }

3. 3.Créez un trousseau de clés Cloud KMS + une CMK avec rotation automatique de 90 jours

   Déploie :

   • Cloud KMS

   Cloud KMS est la primitive CMK de PCSE — des clés de chiffrement gérées par le client pour chaque scénario de chiffrement au repos à travers GCS, BigQuery, les disques Compute Engine, Cloud SQL, Spanner, Secret Manager. L'examen PCSE teste la rotation des CMK (toujours activée par défaut dans CMEK ; la rotation par défaut de 90 jours est le paramètre recommandé) et la séparation du trousseau de clés + de la clé (le trousseau de clés est la limite IAM ; les clés en héritent).

   Nous créons un trousseau de clés régional + une clé SYMMETRIC_ENCRYPTION avec une rotation de 90 jours. L'octroi du compte de service Cloud Storage roles/cloudkms.cryptoKeyEncrypterDecrypter est requis avant que le bucket de l'étape 4 puisse utiliser la clé — l'étape 4 inclut cette liaison.

   Copier

   resource "google_kms_key_ring" "main" {
     name     = "certlabpro-pcse-keyring"
     location = "us-central1"
   
     depends_on = [google_project_service.cloudkms]
   }
   
   resource "google_kms_crypto_key" "storage_cmk" {
     name            = "storage-cmk"
     key_ring        = google_kms_key_ring.main.id
     purpose         = "ENCRYPT_DECRYPT"
     rotation_period = "7776000s" # 90 days
   
     lifecycle {
       prevent_destroy = false # lab-only
     }
   }

4. 4.Provisionnez un bucket Cloud Storage chiffré par CMK

   Déploie :

   • Cloud Storage
   • Cloud KMS

   Modèle de chiffrement au repos recommandé par PCSE : n'utilisez jamais le chiffrement par défaut géré par Google pour les données sensibles ; connectez toujours une CMK. Nous accordons à l'agent de service Cloud Storage (un compte de service spécifique au projet service-PROJECT_NUMBER@gs-project-accounts.iam.gserviceaccount.com) le rôle roles/cloudkms.cryptoKeyEncrypterDecrypter sur la CMK, puis nous provisionnons un bucket qui référence la clé.

   Tout objet écrit dans ce bucket est encapsulé avec une clé de chiffrement de données (DEK), qui est elle-même encapsulée par la CMK. La rotation de la CMK fait pivoter la prochaine DEK ; les objets existants sont rechiffrés lors de la prochaine écriture. L'examen PCSE teste cette forme d'« envelope encryption » (chiffrement par enveloppe).

   Copier

   resource "random_id" "suffix" {
     byte_length = 4
   }
   
   resource "google_storage_project_service_account" "gcs_account" {}
   
   resource "google_kms_crypto_key_iam_member" "gcs_kms" {
     crypto_key_id = google_kms_crypto_key.storage_cmk.id
     role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
     member        = "serviceAccount:${google_storage_project_service_account.gcs_account.email_address}"
   }
   
   resource "google_storage_bucket" "secure" {
     name                        = "certlabpro-pcse-secure-${random_id.suffix.hex}"
     location                    = "us-central1"
     uniform_bucket_level_access = true
     force_destroy               = true # lab-only
   
     encryption {
       default_kms_key_name = google_kms_crypto_key.storage_cmk.id
     }
   
     labels = local.labels
   
     depends_on = [google_kms_crypto_key_iam_member.gcs_kms]
   }

5. 5.Acheminez les journaux d'audit IAM vers un bucket de journalisation dédié

   Déploie :

   • Cloud Logging
   • Cloud Audit Logs

   Rétention des journaux d'audit recommandée par PCSE : les buckets de journaux par défaut _Required et _Default ont une rétention de 30 jours. Les événements d'audit sensibles (octrois/révocations IAM, modifications de politiques) nécessitent une durée beaucoup plus longue — souvent 7 ans pour la conformité SOX / HIPAA / FedRAMP.

   Nous créons un bucket de journalisation dédié avec une rétention de 400 jours + un récepteur de journaux qui achemine les journaux d'audit liés aux politiques IAM vers ce bucket. L'indicateur unique_writer_identity = true génère une identité de service par récepteur (préserve la chaîne d'audit — vous pouvez lui accorder un accès en écriture seule sans exposer votre identité d'utilisateur).

   Avec cinq blocs en place (fournisseur + API, garde-fou Org Policy, trousseau de clés KMS + CMK, bucket CMK, récepteur de journaux d'audit), la base PCSE prévenir → chiffrer → auditer est formée. Les déploiements PCSE réels superposent Security Command Center (SCC) Premium, les périmètres VPC Service Controls, Binary Authorization, Cloud Armor WAF, Identity-Aware Proxy, Workforce Identity Federation et Sensitive Data Protection (DLP) sur cette base.

   Copier

   resource "google_logging_project_bucket_config" "audit" {
     project        = data.google_project.current.project_id
     location       = "global"
     retention_days = 400
     bucket_id      = "audit-events"
   
     depends_on = [google_project_service.logging]
   }
   
   resource "google_logging_project_sink" "audit_sink" {
     name        = "certlabpro-pcse-audit-sink"
     destination = "logging.googleapis.com/${google_logging_project_bucket_config.audit.id}"
     filter      = "logName:\"cloudaudit.googleapis.com\" AND (protoPayload.serviceName=\"iam.googleapis.com\" OR protoPayload.serviceName=\"cloudkms.googleapis.com\")"
   
     unique_writer_identity = true
   }
   
   # Required so the sink can write to the bucket.
   resource "google_project_iam_member" "audit_sink_writer" {
     project = data.google_project.current.project_id
     role    = "roles/logging.bucketWriter"
     member  = google_logging_project_sink.audit_sink.writer_identity
   }

Nettoyage